Los ataques de ransomware apuntan abrumadoramente a la identidad. Los atacantes usan las mismas palancas psicológicas que los anunciantes y estafadores han usado durante años: urgencia, confianza, rutina e intimidación, para anular el buen juicio de las personas.

Phishing y smishing

El tiempo que transcurre desde que un usuario recibe un correo de phishing hasta que le da a un atacante un punto de apoyo persistente promedia menos de un minuto. Esa eficiencia explica por qué el 42% de las organizaciones enfrenta intentos de phishing semanales o diarios. Los ataques de spearphishing actuales son muy sofisticados y usan LinkedIn o directorios corporativos para obtener datos personales y organizacionales de los objetivos. Luego, los atacantes pueden usar IA generativa para crear correos de phishing convincentes, a menudo haciéndose pasar por un ejecutivo, proveedor o soporte de TI. Pueden pedir un restablecimiento de contraseña o incluir una factura falsa que, al abrirla, ejecuta un PowerShell malicioso.

Más allá del business email compromise (BEC), los actores maliciosos usan vishing (phishing por voz), angler phishing (con cuentas falsas de redes sociales) y ataques adversary-in-the-middle (AiTM). El smishing (phishing por SMS) está creciendo exponencialmente debido a la mayor confianza de los usuarios en los mensajes de texto y sus hábitos móviles sobre la marcha. Un escenario común consiste en enviar notificaciones de "fallo en la entrega del paquete", donde los usuarios hacen clic en una URL acortada. Como los dispositivos móviles suelen carecer de protección robusta de endpoints, esto conduce al robo de credenciales y a la entrega de malware.

Fatiga de MFA

La fatiga de MFA es tan insidiosa porque convierte en arma un aspecto central de la seguridad moderna: la autenticación multifactor. Después de robar credenciales mediante phishing, credential stuffing o compras en la dark web, los atacantes usan esta táctica de seguimiento (también llamada "push bombing") para evadir los controles de MFA.

El intruso intenta repetidamente iniciar sesión con las credenciales legítimas, bombardeando al usuario real con notificaciones push de MFA. Los usuarios a menudo presionan "Aprobar" por frustración, toque accidental o la creencia de que el sistema está fallando. Los atacantes incluso pueden llamar al usuario, haciéndose pasar por la mesa de ayuda de TI, e indicarle que "apruebe la solicitud para resolver un error de sincronización". Esta estrategia ha provocado brechas de alto perfil incluso en empresas con enfoque tecnológico como Uber y Cisco.

Privilegios excesivos

Mientras el phishing y la fatiga de MFA abren la puerta a los hackers, los privilegios excesivos les dan los medios para propagar ransomware. En muchos entornos, los usuarios estándar tienen permisos que les permiten ver o modificar directorios confidenciales que no son relevantes para sus tareas diarias. Si un administrador de oficina tiene derechos de "administrador local" en su estación de trabajo y hace clic en un enlace malicioso, el ransomware puede desactivar el software antivirus, modificar los registros del sistema y recolectar credenciales de la memoria de la máquina. Si esa misma cuenta tiene acceso a unidades de red o copias de seguridad del servidor, el ransomware puede cifrar los datos de toda la empresa en minutos.

Explotar el error humano para ataques de ransomware suele ser más rápido, más barato y más confiable que intentar romper sistemas técnicos reforzados. Los atacantes pueden pasar meses programando un exploit para una vulnerabilidad de software, solo para que los desarrolladores lancen un parche que lo neutralice. Por otro lado, comprometer una sola cuenta de usuario mediante ingeniería social simple puede darles a los atacantes las llaves para moverse lateralmente, escalar privilegios e identificar datos de alto valor. 

¿Por qué la ingeniería social es tan efectiva? Los atacantes se apoyan en varios rasgos psicológicos clave que enturbian la toma de decisiones racional:

• Autoridad: Las personas están culturalmente condicionadas a seguir instrucciones del liderazgo. Una suplantación convincente de un ejecutivo o agente de la ley se aprovecha de esta tendencia.

• Urgencia/escasez: La técnica del "reloj en marcha" (por ejemplo, "Tu cuenta será eliminada en 1 hora a menos que la verifiques") convence a los usuarios de tomar decisiones rápidas y emocionales.

• Miedo e intimidación: La amenaza de consecuencias negativas (pérdida de datos, acción legal por una "factura impaga") crea una sensación de pánico.

• Confianza y simpatía: Los atacantes generan cercanía haciendo referencia a conexiones mutuas encontradas en redes sociales o usando una imagen de marca familiar, haciendo que la víctima esté más dispuesta a "ayudar" con una solicitud.

• Prueba social: Mensajes que afirman "el 90% de tus colegas ya actualizó su contraseña" presionan a los objetivos a sumarse.   

A menudo, las personas simplemente están absorbidas por su trabajo y asuntos personales, y se dejan llevar por solicitudes aparentemente rutinarias, dándose cuenta de su error (obvio en retrospectiva) solo cuando ya es demasiado tarde.

Abordar el factor humano en el ransomware es la mejor forma de protegerse contra ataques catastróficos. Esto requiere un enfoque de dos frentes: reducir la susceptibilidad a la ingeniería social y minimizar el impacto si ocurre un compromiso.

Capacitación continua en concientización de seguridad (SAT)

Una cultura donde los empleados asumen su parte en la ciberseguridad es esencial para protegerse contra brechas. Con los atacantes evolucionando constantemente sus tácticas, la capacitación anual de mero trámite puede quedarse corta. Además, numerosos estudios han demostrado que las sesiones de aprendizaje más cortas y continuas son más efectivas que las lecciones más largas y menos frecuentes. 

Un SAT efectivo es continuo, atractivo y se basa en inteligencia de amenazas del mundo real. Las simulaciones de phishing realistas, la retroalimentación inmediata, la gamificación y el microaprendizaje han demostrado mantener a los empleados comprometidos y reducir significativamente el "porcentaje de susceptibilidad al phishing" de un equipo. Un estudio encontró que las simulaciones de phishing sostenidas redujeron a la mitad las tasas de compromiso exitoso en un plazo de seis meses.

Monitoreo del comportamiento de identidades

La ciberseguridad moderna requiere un enfoque de defensa en capas. Las organizaciones deben respaldar el firewall humano con controles técnicos. La detección y respuesta a amenazas de identidad (ITDR) se enfoca en detectar y detener amenazas basadas en cuentas en tiempo real. Estas herramientas monitorean los comportamientos en busca de señales de compromiso:

• Viaje imposible: Un usuario que inicia sesión desde Nueva York y luego desde Londres 30 minutos después.   

• Geolocalización anómala: Intentos de acceso desde regiones donde la empresa no tiene presencia.

• Solicitudes de privilegios inusuales: Una cuenta de usuario estándar que de repente intenta acceder a directorios administrativos sensibles o crear nuevas cuentas de administrador.   

• Actividad de administrador oculto: Detectar la creación de reglas ocultas de reenvío de buzones de correo o "aplicaciones fraudulentas" no autorizadas en entornos de Microsoft 365 que permiten la exfiltración de datos.   

El ITDR puede entonces responder automáticamente bloqueando una credencial o revirtiendo cambios maliciosos, antes de que el intruso pueda escalar privilegios.

Aplicar el acceso de privilegio mínimo

El principio de privilegio mínimo (PoLP) significa que los usuarios y dispositivos obtienen solo los permisos necesarios para hacer su trabajo. Esto limita la cantidad de daño que puede causar una sola cuenta. Una arquitectura Zero Trust pone este principio en práctica al exigir una verificación estricta para cada solicitud de acceso, sin importar la ubicación. Esto incluye:

• Segmentación de red: Dividir la red en zonas más pequeñas y aisladas para que un atacante no pueda moverse fácilmente de una estación de trabajo infectada a un servidor con datos sensibles.   

• Acceso justo a tiempo (JIT): Otorgar permisos elevados para realizar una tarea específica durante un tiempo limitado (por ejemplo, un técnico de TI que obtiene derechos de administrador durante una hora para reparar un servidor).

• MFA resistente al phishing: Transición de códigos SMS y notificaciones push a llaves de seguridad físicas (FIDO2) vinculadas físicamente al dispositivo. Esto protege contra la fatiga de MFA y los ataques AiTM.

No hay duda de que el riesgo humano facilita los ataques de ransomware. Huntress ofrece un enfoque de doble capa frente al riesgo humano a través de Managed Security Awareness Training (SAT) y Managed Identity Threat Detection and Response (ITDR). Descubre cómo Huntress ayuda a protegerte contra los ataques de ransomware.